EP4331174B1 - Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente - Google Patents

Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente Download PDF

Info

Publication number
EP4331174B1
EP4331174B1 EP22743454.5A EP22743454A EP4331174B1 EP 4331174 B1 EP4331174 B1 EP 4331174B1 EP 22743454 A EP22743454 A EP 22743454A EP 4331174 B1 EP4331174 B1 EP 4331174B1
Authority
EP
European Patent Office
Prior art keywords
installation
memory
certificate
control system
component
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
EP22743454.5A
Other languages
English (en)
French (fr)
Other versions
EP4331174A1 (de
EP4331174C0 (de
Inventor
Marwin Madsen
Anna Palmin
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Siemens Corp
Original Assignee
Siemens AG
Siemens Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG, Siemens Corp filed Critical Siemens AG
Publication of EP4331174A1 publication Critical patent/EP4331174A1/de
Application granted granted Critical
Publication of EP4331174B1 publication Critical patent/EP4331174B1/de
Publication of EP4331174C0 publication Critical patent/EP4331174C0/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Definitions

  • the invention relates to a control system for a technical plant, in particular a process or manufacturing plant. Furthermore, the invention relates to a method for transmitting a certificate request from a plant component of a technical plant, in particular a process or manufacturing plant. Furthermore, the invention relates to the use of a control system for operating a technical plant.
  • Adequate protection may, in particular – depending on the results of a so-called Threat and Risk Analysis (TRA) – include encryption and/or authentication of the transmitted data.
  • Appropriate encryption and authentication mechanisms are usually part of secure communication protocols (such as TLS, OPC UA).
  • secure communication protocols such as TLS, OPC UA.
  • the use of secure communication protocols requires that the communication participants have digital certificates.
  • Certificates used in an operational environment are generally referred to as "operational certificates" (OC).
  • OPC operation certificates
  • PKI public key infrastructure
  • a common process for applying for and issuing operational certificates can be described as follows:
  • the system components send their certificate requests (Certificate Requests or Certificate Signing Requests, CSR) to the so-called Registration Authority (RA for short), which validates the requests (by checking with a storage or inventory whether the respective component is entitled to receive a certificate) and then forwards the certificate requests - signed with its own secret key - to the responsible Certification Authority (CA for short), which is also referred to as the "Issuing CA”.
  • CSR Certificate Requests or Certificate Signing Requests
  • RA Registration Authority
  • CA responsible Certification Authority
  • the certification authority verifies the signature on the certificate requests using the registration authority's public key. It then issues the certificates and transmits them to the registration authority, which then checks them for validity and forwards them to the component applicants.
  • certificate management protocols such as the Certificate Management Protocol (CMP) according to RFC 4210 or the Lightweight CMP Profile are increasingly being implemented in these components.
  • CMP Certificate Management Protocol
  • various scenarios such as the initial application for an operational certificate for a specific purpose or the application for the renewal of an existing operational certificate for a specific purpose
  • CMP Certificate Management Protocol
  • Such protocols are suitable for applying for various types of certificates.
  • CDCs Customer Device Certificates
  • These certificates bind the components to the customer system (like an employee ID card binds employees to a company). These certificates then serve as the basis for applying for an operational certificate.
  • the CDC request is made using the CMP message type "Initial Request.”
  • the subsequent request for required operational certificates is made using the CMP message type "Certificate Request.”
  • the renewal of a CDC or an OC is made using the CMP message type "Key Update Request” (kur).
  • the respective request is signed using the certificate to be renewed (more precisely, the associated private key) and contains the ID (e.g., the serial number) of the certificate and, if necessary, the name of the certification authority to be addressed (as the value of the parameter "Recipient").
  • Such a certificate request signed with a private key and accompanied by the corresponding public key, can be transmitted (for example, in the form of a PEM file) to a certification authority via any transport method (for example, on a USB stick).
  • the certification authority then issues a certificate based on the certificate request.
  • This certificate contains, among other things, the information related to the requestor contained in the certificate request and the requestor's public key.
  • the certificate can also be delivered to the applicant in various ways, who then validates it according to RFC 5280 and, among other things, checks whether the public key is correct (which provides a so-called Proof of Possession). and whether certain certificate contents (especially a so-called "Distinguished Name") match the contents of the application.
  • a certificate request in the (common) PKCS#10 format is created by a system component itself or (on behalf of) a user and is not transmitted using an intelligent certificate management protocol (such as CMP), but rather in a simpler way, such as on a USB stick, such a request usually does not contain any indication as to whether this request is an initial application or an update of a certificate (e.g. a CDC or an operational certificate).
  • CMP intelligent certificate management protocol
  • certificate applications can only be interpreted by a registration authority or a certification authority as initial certificate applications.
  • a registration authority cannot determine which certification authority this certification application is intended for based on the contents of the certificate application.
  • the US 5 745 574 A reveals a security infrastructure with a plurality of certification authorities.
  • the invention is based on the object of specifying a control system for a technical system which makes certificate management with regard to simple system components of the technical system significantly easier and more secure.
  • This object is achieved by a registration authority for a control system of a technical system, in particular a manufacturing or process system, having the features of claim 1. Furthermore, the object is achieved by a method for transmitting a certificate application from a system component of a technical system, in particular a process or production system, having the features of claim 9. Furthermore, the object is achieved by using a control system according to claim 17.
  • the process plant is a plant from the process industry such as a chemical, pharmaceutical, petrochemical or a plant from the food and beverage industry.
  • a control system is understood to be a computer-aided, technical system that includes functionalities for displaying, operating, and managing a technical manufacturing or production facility.
  • the control system can also include sensors for determining measured values as well as various actuators.
  • the control system can include so-called process- or production-related components that serve to control the actuators or sensors.
  • the control system can include, among other things, means for visualizing the technical facility and for engineering.
  • the term control system also includes additional processing units for more complex control systems and systems for data storage and processing.
  • a certificate is a digital data record that confirms certain properties (in this case, of machines, devices, applications, and the like). The authenticity and integrity of the certificate can usually be verified using cryptographic methods.
  • the certificate application can be an initial application from a system component, i.e., a first-time attempt to obtain a certificate from the certification authority (e.g., to be able to communicate with other system components of the technical system).
  • the certificate application can also be a request to renew a previously issued certificate that has expired or is about to expire.
  • the certificate request contains at least one piece of information about the identity of the requesting system component.
  • the registration service uses this information and retrieves information from a storage location regarding which certificates have already been assigned to the system component, which certificates can be assigned (at all), and which certificates are to be assigned. By linking the information regarding the identity of the system component and the information retrieved from the storage location, the registration service can determine the type of certificate request. In other words, this tells it whether it is an initial certificate request or a certificate renewal.
  • the registration service is designed to use the previously obtained information to determine which registration authority (RA) or certification authority (CA) of the technical system is responsible for the certificate request.
  • the registration service then adapts the certificate application of the plant component with the information about the type of certificate application and transmits the certificate application to the responsible registration authority or the responsible certification authority of the technical plant.
  • the registration service of the control system can therefore adequately convert certificate applications or "raw data" in a rudimentary format (e.g. in PKCS#10 format), from which the essential information regarding the identity of the applicant (such as his name, his ID, which can be in the form of a serial number or a Product Instance URI, for example) is extracted, and forward them to the correct recipient.
  • control system enables a system component to send its certificate applications directly to the certification authority responsible for it by means of the registration service (without the need for complex manual intervention by administrators of the technical system).
  • the registration service can be computer-implemented on a component of a public key infrastructure, such as a local registration authority. It can also be computer-implemented on an end device of the process plant, particularly on a network component such as a switch or firewall component.
  • a public key infrastructure PKI for short
  • PKI public key infrastructure
  • Certificates can be issued, distributed, and verified using the public key infrastructure.
  • the registration service has trust relationships with the plant component and with the registration authority and/or the certification authority of the process plant, wherein the trust relationships are preferably certificate-based. This allows the registration service to securely and efficiently perform the previously explained conversion and forwarding services.
  • the registration service is configured to retrieve from the first memory or a second memory the information regarding which registration authority or certification authority of the process plant is responsible for the certificate application.
  • the information regarding the responsibilities can be retrieved from the same (first) memory which, as previously explained, also includes the information regarding which certificates are assigned, assignable, and to be assigned to the plant component.
  • the information regarding the responsibilities can also be stored in a second memory.
  • Both the first and the second memory can be (physically) located within the process plant.
  • the first and/or the second memory can particularly preferably be implemented on a component of a public key infrastructure, in particular a registration authority, on an engineering station server or on an operator station server of the control system, or on a terminal device of the technical system, in particular a network component or an automation device.
  • An “Engineering Station Server” is a server designed to create, manage, archive, and document various hardware and software projects for a control system of a technical plant. Using special software design tools (engineering toolset) as well as predefined modules and plans, the Engineering Station Server can be used to plan and manage the interaction of control devices and equipment within the technical plant.
  • Special software design tools engineering toolset
  • SIMATIC Manager Server from SIEMENS.
  • An "Operator Station Server” is defined here as a server that centrally collects data from an operating and monitoring system, as well as usually alarm and measured value archives from a control system of a technical plant, and makes them available to users.
  • the Operator Station Server typically establishes a communication connection to the automation systems of the technical plant and forwards data from the technical plant to so-called clients, which are used to operate and monitor the operation of the individual functional elements of the technical plant.
  • the Operator Station Server can have client functions to access the data (archives, messages, tags, variables) of other Operator Station Servers.
  • the operator station server can be, but is not limited to, a SIMATIC PCS 7 Industrial Workstation Server from SIEMENS.
  • Automation devices are used to implement automation and can, for example, be programmable logic controllers that represent a higher-level control function for lower-level programmable logic controllers.
  • the task is also solved by using a control system as previously explained for operating a process plant, in particular a manufacturing or process plant.
  • a system component 1 submits a certificate request 2 in the PKCS#10 format.
  • a registration service 3 of a control system of a technical system receives the certificate request 2 from the system component 1.
  • the registration service 3 has certificate-based trust relationships with a registration authority 4 and with two certification authorities 5a, 5b of the technical system.
  • the registration service 3 extracts information about the identity of the plant component 1 from the certificate request 2.
  • the registration service 3 then accesses a configuration memory 6 implemented in the technical plant to obtain information about which certificates have already been assigned, can be assigned, and are to be assigned to the plant component 1.
  • the registration service 3 retrieves information from the configuration memory 6 regarding which registration authority 4 or which certification authority 5a, 5b of the technical plant is responsible for the certificate request 2.
  • the configuration memory 6 is implemented on an engineering station server of the control system.
  • the various certification authorities 5a, 5b can each be responsible for different types of certificates.
  • the registration service 3 uses the information retrieved from the configuration memory 6 to transform the certificate request 2 from the rudimentary PKCS#10 format into a more comprehensive format (e.g., the CMP protocol) that includes a type of certificate request 2 (step II).
  • the criteria for transforming the certificate request can be specified either permanently by an administrator of the technical system or the like, or adaptively by a self-learning system.
  • step (III) the more comprehensive certificate request 2 is forwarded to the registration authority 5, which in a further step (IV) forwards the certificate request 2 to the certification authority 5a responsible in this case.
  • the issued certificate is forwarded to the requesting plant component 1 in the following steps (V, VI, VII).
  • the invention can contribute to improved automation of certificate management of a technical system, uninterrupted normal operation, and improved availability of heterogeneous technical systems.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Description

  • Die Erfindung betrifft Leitsystem für eine technische Anlage, insbesondere eine Prozess- oder Fertigungsanlage. Außerdem betrifft die Erfindung ein Verfahren zum Übermitteln eines Zertifikatsantrags von einer Anlagenkomponente einer technischen Anlage, insbesondere einer Prozess- oder Fertigungsanlage. Zudem betrifft die Erfindung die Verwendung eines Leitsystems zum Betrieb einer technischen Anlage.
  • Aufgrund des (durch die zunehmende Verwendung von offenen IT-Standards und -Protokolle) steigenden Schutzbedarfs und der Anforderungen der IEC 62443 als des führenden Industrial Security Standards müssen die Kommunikationsverbindungen in Leitsystemen technischer Anlagen zunehmend abgesichert, d.h. gegen unberechtigte Zugriffe angemessen geschützt werden.
  • Ein angemessener Schutz kann insbesondere - je nach Ergebnissen einer sog. Threat and Risk Analyse (TRA) - die Verschlüsselung und/ oder die Authentifizierung der übertragenen Daten umfassen. Entsprechende Verschlüsselungs- und Authentifizierungsmechanismen sind in der Regel ein Bestandteil sicherer Kommunikationsprotokolle (wie z.B. TLS, OPC UA). Der Einsatz sicherer Kommunikationsprotokollen setzt voraus, dass die Kommunikationsteilnehmer über digitale Zertifikate verfügen.
  • Die Zertifikate, die in einer operativen Umgebung (wie z.B. einer industriellen Anlage) eingesetzt werden, um beispielsweise sichere Kommunikation oder Benutzerauthentifizierung zu ermöglichen, bezeichnet man in der Regel als sogenannte "operative Zertifikate" (engl. Operational Certificates, OC). Aus Security-Gründen ist es empfehlenswert, ein dediziertes operatives Zertifikat pro verwendetes Kommunikationsprotokoll zu nutzen. Dies bedeutet, dass, falls eine Anlagenkomponente beispielsweise OPC UA zur Absicherung einer Kommunikationsbeziehung und TLS zur Absicherung einer anderen Kommunikationsbeziehung nutzt, die Komponente jeweils ein OPC UA-Zertifikat und ein TLS-Zertifikat benötigt (für die TLS-Server oder die TLS-Client-Authentifizierung). Ist die Menge von Anlagenkomponenten und somit der benötigten operativen Zertifikate klein, können die Zertifikate manuell in die Anlagenkomponenten importiert werden.
  • Mit einer steigenden Anzahl von Anlagenkomponenten, die in sichere Kommunikationsbeziehungen involviert sind und diverse Zertifikate benötigen, ist es sinnvoll, das Ausstellen von operativen Zertifikaten - basierend auf den von den Anlagenkomponenten generierten Zertifikatsanträgen (engl. Certificate Requests, CR) - sowie die Zuweisung der ausgestellten Zertifikate den Komponenten zu automatisieren. Ein derartiges automatisiertes Zertifikatsmanagement setzt in der Regel eine sog. Public Key Infrastruktur (PKI) voraus, die in der jeweiligen operativen Umgebung (z.B. einer industriellen Anlage) vorhanden sein soll.
  • Ein bekannter Ablauf zum Beantragen und zum Ausstellen der operativen Zertifikate lässt sich wie folgt beschreiben:
    Die Anlagenkomponenten richten ihre Zertifikatsanträge (engl. Certificate Requests bzw. Certificate Signing Requests, CSR) an die sogenannte Registrierungsstelle (engl. Registration Authority oder kurz: RA), die die Anträge validiert (indem sie in Rücksprache mit einem Speicher bzw. Inventory prüft, ob die jeweilige Komponente ein Zertifikat bekommen darf) und die Zertifikatsanträge dann - signiert mit ihrem eigenen Geheimschlüssel - an die zuständige Zertifizierungsstelle (engl. Certification Authority oder kurz: CA), die auch als "Issuing CA" bezeichnet wird, weiterleitet.
  • Die Zertifizierungsstelle prüft die Signatur unter den Zertifikatsanträgen unter Verwendung des ihr vorliegenden öffentlichen Schlüssels der Registrierungsstelle. Anschließend stellt sie die Zertifikate aus und übermittelt sie an die Registrierungsstelle, die sie dann auf Gültigkeit prüft und an die Komponenten-Antragsteller weiterleitet.
  • Damit die Anlagenkomponenten sich mit den Komponenten der verwendeten Public Key Infrastruktur optimal "verständigen" können, werden in diesen Komponenten immer häufiger Zertifikatsmanagement-Protokolle wie z.B. das "Certificate Management Protocol (CMP)" nach RFC 4210 bzw. nach dem "Lightweight CMP Profile" implementiert. Unter Verwendung derartiger Protokolle können diverse Szenarien (wie beispielsweise initiale Beantragung eines operativen Zertifikats zu einem bestimmten Zweck oder die Beantragung einer Erneuerung eines zu einem bestimmten Zweck bereits vorhandenen operativen Zertifikats) unterschieden werden. Außerdem eignen sich derartige Protokolle dazu, verschiedene Arten von Zertifikaten zu beantragen, denn in den meisten Fällen ist es empfehlenswert, vor der Beantragung von applikationsspezifischen operativen Zertifikaten die Anlagenkomponenten mit den anlagengebundenen Kundenzertifikaten (engl. Customer Device Certificate, kurz: CDC), die die Komponenten an die Kundenanlage binden (wie ein Mitarbeiterausweis die Mitarbeiter an ein Unternehmen binden) auszustatten und diese dann als Basis für die Beantragung eines operativen Zertifikats zu nutzen.
  • Beispielsweise bei der Verwendung des CMP-Protokolls und des zugehörigen CRMF-Formats erfolgt die CDC-Beantragung unter Verwendung der CMP-Nachrichtentyps "Initial Request". Für die anschließende Beantragung von erforderlichen operativen Zertifikaten wird der CMP-Nachrichtentyp "Certificate Request" verwendet, während die Erneuerung eines CDC oder eines OC unter Verwendung des CMP-Nachrichtentyps "Key Update Request" (kur) erfolgt, wobei der jeweilige Antrag unter Verwendung des zu erneuernden Zertifikats (genauer gesagt des zugehörigen Private Key) signiert wird und die die ID (z.B. die Seriennummer) des Zertifikats sowie bei Bedarf auch den Namen der zu adressierenden Zertifizierungsstelle (als Wert des Parameters "Recipient") beinhaltet. Somit können alle o.g. Szenarien - ohne jegliche Mitwirkung des Benutzers - komplett automatisiert werden.
  • Aufgrund der Implementierung von intelligenten Zertifikatsmanagement-Protokollen müssen die Anlagenkomponenten intelligenter werden, um beispielsweise selbst entscheiden zu können, ob ein operatives Zertifikat (oder genauer gesagt das zugehörige Schlüsselpaar) nun erneuert werden soll (weil das operative Zertifikat in Kürze abläuft), oder ob ein operatives Zertifikat aus einem bestimmten Grund revoziert werden soll. In den heutigen, in der Regel im Hinblick auf die verwendeten Mechanismen zum Zertifikatsmanagement heterogen gestalteten industriellen Anlagen unterstützt die Mehrheit der industriellen Endgeräte (wenn überhaupt) nur die einfachsten Zertifikatsmechanismen und kann beispielsweise nur einen Zertifikatsantrag zu einem (selbst generierten oder von einer anderen Instanz stellvertretend generierten) Schlüsselpaar in einem sog. PKCS#10-Format nach RFC 2986 selbst generieren oder (stellvertretend) von einem Benutzer (z.B. unter Verwendung von OpenSSL) generieren lassen.
  • Ein derartiger, mit einem Geheimschlüssel (engl. Private Key) signierter Zertifikatsantrag samt dem zugehörigen öffentlichen Schlüssel (engl. Public Key) kann (beispielsweise in Form einer PEM-Datei) auf einem beliebigen Transportweg (beispielsweise auf einem USB-Stick) an eine Zertifizierungsstelle übermittelt werden. Die Zertifizierungsstelle stellt daraufhin - basierend auf dem Zertifikatsantrag - ein Zertifikat aus, welches u.a. die im Zertifikatsantrag enthaltenen, auf den Auftragsteller bezogenen Informationen, und dessen Public Key beinhaltet.
  • Das Zertifikat kann ebenfalls auf verschiedenen Wegen dem Antragsteller zugestellt werden, der dieses dann gemäß dem RFC 5280 validiert und dabei u.a. prüft, ob der Public Key korrekt ist (wodurch ein sog. Proof of Possession erbracht wird) und ob bestimmte Zertifikatsinhalte (insb. ein sog. "Distinguished Name") mit den Inhalten des Antrags übereinstimmen.
  • Komplexere Szenarien (wie beispielsweise der Beantragung von operativen Zertifikaten basierend auf einem CDC oder die Beantragung einer CDC-/OC-Erneuerung) unter Verwendung von "einfacheren" Formaten wie z.B. PKCS#10 können aktuell aus den o.g. Gründen nicht (bzw. nicht ohne Mitwirkung des Benutzers) abgebildet werden. Durch die Mitwirkung des Benutzers wird jedoch die Wahrscheinlichkeit von versehentlichen oder absichtlichen Fehlern erhöht. Dadurch können der Normalbetrieb und die Verfügbarkeit der industriellen Anlagen gefährdet werden. Auch für den Fall, dass sich keine Fehler ereignen, kann die Gefahr der Verzögerungen aufgrund der notwendigen manuellen Eingriffe stark erhöht sein.
  • Falls nun ein Zertifikatsantrag im (gängigen) PKCS#10-Format von einer Anlagenkomponente selbst oder (stellvertretend) von einem Benutzer erstellt und nicht unter Verwendung eines intelligenten Zertifikatsmanagement-Protokolls (wie z.B. CMP), sondern auf einem einfacheren Weg wie z.B. auf einem USB-Stick, übertragen wird, beinhaltet ein derartiger Antrag in der Regel keinen Hinweis, ob es sich bei diesem Antrag um eine initiale Beantragung oder um ein Update eines Zertifikats (z.B. eines CDC oder eines operativen Zertifikats) handelt.
  • Auch die ggf. vorgegebene Reihenfolge, in welcher bestimmte Zertifikate in einer Anlage zu beantragen sind ist in einem derartigen Zertifikatsantrag nicht direkt abbildbar. Somit sind solche Zertifikatsanträge durch eine Registrierungsstelle oder eine Zertifizierungsstelle nur als initiale Zertifikatsanträge interpretierbar. Insbesondere kann eine Registrierungsstelle bei mehreren vorhandenen Zertifizierungsstellen dabei nicht anhand der Inhalte des Zertifikatsantrags entscheiden, für welche Zertifizierungsstelle dieser Zertifizierungsantrag bestimmt ist.
  • In der EP 3 258 662 A1 ist ein Verfahren zur Registrierung eines intelligenten elektrischen Gerätes bei einer Zertifizierungsstelle offenbart.
  • Die US 5 745 574 A offenbart eine Sicherheitsinfrastruktur mit einer Mehrzahl an Zertifizierungsstellen.
  • In der US 2011 /154024 A1 ist ein Verfahren zur Auswahl einer Zertifikatsstelle in einem Kommunikationssystem offenbart.
  • Der Erfindung liegt die Aufgabe zugrunde, ein Leitsystem für eine technische Anlage anzugeben, welches ein Zertifikatsmanagement hinsichtlich einfacher Anlagenkomponenten der technischen Anlage deutlich erleichtert und sicherer gestaltet.
  • Diese Aufgabe wird gelöst durch eine Registrierungsstelle für ein Leitsystem einer technischen Anlage, insbesondere eine Fertigungs- oder Prozessanlage, mit den Merkmalen des Anspruchs 1. Außerdem wird die Aufgabe gelöst durch ein Verfahren zum Übermitteln eines Zertifikatsantrags von einer Anlagenkomponente einer technischen Anlage, insbesondere einer Prozess- oder Fertigungsanlage, mit den Merkmalen des Anspruchs 9. Zudem wird die Aufgabe gelöst durch eine Verwendung eines Leitsystems gemäß Anspruch 17. Vorteilhafte Weiterbildungen ergeben sich aus den abhängigen Ansprüchen.
  • Ein erfindungsgemäßes Leitsystem für eine Prozessanlage, wobei die Prozessanlage eine chemische, pharmazeutische oder petrochemische Anlage, oder eine Anlage aus der Nahrungs- und Genussmittelindustrie darstellt, und wobei das Leitsystem Funktionalitäten zum Darstellen, Bedienen und Leiten der Prozessanlage umfasst, weist einen computerimplementierten Registrierungsdienst auf, der dazu ausgebildet ist:
    • von einer Anlagenkomponente der Prozessanlage einen Zertifikatsantrag entgegenzunehmen, der eine Information bezüglich einer Identität der Anlagenkomponente umfasst,
    • einem Speicher eine Information darüber zu entnehmen, welche Zertifikate der Anlagenkomponente bereits zugewiesen, zuweisbar und zuzuweisen sind,
    • anhand einer Verknüpfung der Information bezüglich der Identität der Anlagenkomponente und der aus dem Speicher entnommenen Information über die zuweisbaren und zuzuweisenden Zertifikate zu bestimmen, welchen Typ der Zertifikatsantrag aufweist, wobei der Typ einen initialen Zertifikatsantrag oder einen Antrag auf eine Zertifikatserneuerung darstellt, und welche Registrierungsstelle oder welche Zertifizierungsstelle der technischen Anlage für den Zertifikatsantrag zuständig ist,
    • den Zertifikatsantrag der Anlagenkomponente mit einer Information über den Typ des Zertifikatsantrags an die zuständige Registrierungsstelle oder die zuständige Zertifizierungsstelle zu übermitteln.
  • Bei der Prozessanlage handelt es um eine Anlage aus der Prozessindustrie wie beispielsweise eine chemische, pharmazeutische, petrochemische oder eine Anlage aus der Nahrungs- und Genussmittelindustrie handeln.
  • Unter einem Leitsystem wird im vorliegenden Kontext ein computergestütztes, technisches System verstanden, das Funktionalitäten zum Darstellen, Bedienen und Leiten einer technischen Fertigungs- oder Produktionsanlage umfasst. Das Leitsystem kann auch Sensoren zur Ermittlung von Messwerten sowie verschiedene Aktoren umfassen. Zudem kann das Leitsystem sogenannte prozess- oder fertigungsnahe Komponenten umfassen, die zur Ansteuerung der Aktoren bzw. Sensoren dienen. Darüber kann das Leitsystem u.a. Mittel zur Visualisierung der technischen Anlage und zu einem Engineering aufweisen. Unter dem Begriff Leitsystem sind zusätzlich auch weitere Recheneinheiten für komplexere Regelungen und Systeme zur Datenspeicherung und -verarbeitung zu fassen.
  • Unter einem Zertifikat wird ein digitaler Datensatz verstanden, der bestimmte Eigenschaften (in diesem Fall von Maschinen, Geräten, Applikationen und dergleichen) bestätigt. Eine Authentizität und Integrität des Zertifikats können in der Regel mittels kryptografischer Verfahren verifiziert werden.
  • Der Zertifikatsantrag kann ein initialer Antrag einer Anlagenkomponente sein, d.h. ein erstmaliges Bestreben, ein Zertifikat von der Zertifizierungsstelle zu erhalten (um beispielsweise mit anderen Anlagenkomponenten der technischen Anlage kommunizieren zu können). Bei dem Zertifikatsantrag kann es sich aber auch um einen Antrag zur Erneuerung eines bereits zuvor ausgestellten Zertifikats handeln, dessen Gültigkeit abgelaufen ist oder dessen Ablauf bevorsteht.
  • Der Zertifikatsantrag weist wenigstens eine Information über eine Identität der antragsstellenden Anlagenkomponente auf. Diese Information nutzt der Registrierungsdienst und ruft aus einem Speicher Informationen darüber ab, welche Zertifikate der Anlagenkomponente bereits zugewiesen, (überhaupt) zuweisbar und zuzuweisen sind. Durch die Verknüpfung der Informationen bezüglich der Identität der Anlagenkomponente und der aus dem Speicher abgerufenen Informationen kann der Registrierungsdienst bestimmen, welchen Typ der Zertifikatsantrag aufweist. Dadurch weiß er mit anderen Worten, ob es sich um einen initialen Zertifikatsantrag oder um eine Zertifikatserneuerung handelt. Zusätzlich ist der Registrierungsdienst dazu ausgebildet, die zuvor ermittelten Informationen dazu zu verwenden, zu ermitteln, welche Registrierungsstelle (engl. Registration Authority, kurz: RA) oder welche Zertifizierungsstelle (engl. Certification Authority, kurz: CA) der technischen Anlage für den Zertifikatsantrag zuständig ist.
  • Der Registrierungsdient passt den Zertifikatsantrag der Anlagenkomponente daraufhin mit der Information über den Typ des Zertifikatsantrags an und übermittelt den Zertifikatsantrag an die zuständige Registrierungsstelle oder die zuständige Zertifizierungsstelle der technischen Anlage. Mithilfe des Registrierungsdienstes des Leitsystems können daher in einem rudimentären Format (z.B. im PKCS#10-Format) vorliegende Zertifikatsanträge oder "Rohdaten", aus welchen die wesentlichen Informationen hinsichtlich der Identität des Antragstellers (wie z.B. seinen Namen, seine ID, die beispielsweise in Form einer Seriennummer oder einer Product Instance URI vorliegen kann, entnommen werden, adäquat konvertiert und an den korrekten Adressaten weitergeleitet werden.
  • Zusätzlich ermöglicht es das erfindungsgemäße Leitsystem einer Anlagenkomponente mittels des Registrierungsdienstes ihre Zertifikatsanträge direkt an die für sie zuständige Zertifizierungsstelle zu richten (ohne dass hierfür aufwändige manuelle Eingriffe von Administratoren der technischen Anlage notwendig wären).
  • Der Registrierungsdienst kann auf einer Komponente einer Public Key Infrastruktur wie einer lokalen Registrierungsstelle computerimplementiert sein. Er kann aber auch auf einem Endgerät der Prozessanlage, insbesondere auf einer Netzwerkkomponente wie einem Switch oder einer Firewallkomponente, computerimplementiert sein. Mit dem Begriff "Public Key Infrastruktur" (kurz: PKI) wird eine Sicherheitsinfrastruktur für eine technische Anlage verbunden, die Services für einen sicheren Austausch von Daten zwischen Kommunikationspartnern der Prozessanlage bereitstellt. Mit Hilfe der Public Key Infrastruktur lassen sich Zertifikate ausstellen, verteilen und prüfen.
  • Im Rahmen einer vorteilhaften Weiterbildung der Erfindung weist der Registrierungsdienst Vertrauensbeziehungen zu der Anlagenkomponente und zu der Registrierungsstelle und/oder der Zertifizierungsstelle der Prozessanlage auf, wobei die Vertrauensbeziehungen vorzugsweise zertifikatsbasiert ausgebildet sind. Dadurch kann der Registrierungsdienst sicher und effizient die zuvor erläuterten Konvertierungs- und Weiterleitungsdienste vornehmen.
  • Vorzugsweise ist der Registrierungsdienst dazu ausgebildet, dem ersten Speicher oder einem zweiten Speicher die Information zu entnehmen, welche Registrierungsstelle oder welche Zertifizierungsstelle der Prozessanlage für den Zertifikatsantrag zuständig ist. Die Information über die Zuständigkeiten kann demselben (ersten) Speicher entnommen werden, der, wie zuvor erläutert, auch die Informationen darüber umfasst, welche Zertifikate der Anlagenkomponente zugewiesen, zuweisbar und zuzuweisen sind. Die Information über die Zuständigkeiten kann aber auch auf einem zweiten Speicher hinterlegt sein. Sowohl der erste als auch der zweite Speicher können sich (physisch) innerhalb der Prozessanlage befinden. Es ist aber auch möglich, dass der erste und/oder der zweite Speicher in einer cloudbasierten Umgebung (physisch außerhalb der technischen Anlage) realisiert sind.
  • Der erste und/oder der zweite Speicher können besonders bevorzugt auf einer Komponente einer Public Key Infrastruktur, insbesondere einer Registrierungsstelle, auf einem Engineering Station Server oder auf einem Operator Station Server des Leitsystems, oder auf einem Endgerät der technischen Anlage, insbesondere einer Netzwerkkomponente oder einem Automatisierungsgerät, implementiert sein.
  • Unter einem "Engineering Station Server" wird vorliegend ein Server verstanden, der dazu ausgebildet ist, verschiedene Hardware- und Software-Projekte für ein Leitsystem einer technischen Anlage zu erstellen, verwalten, archivieren und dokumentieren. Mithilfe von speziellen Software-Entwurfswerkzeugen (Engineering Toolset) sowie vorgefertigten Bausteinen und Plänen kann mittels des Engineering Station Servers ein Zusammenspiel von leittechnischen Geräten und Einrichtungen der technischen Anlage geplant und verwaltet werden. Ein Beispiel hierfür ist ein SIMATIC Manager Server der Firma SIEMENS.
  • Unter einem "Operator Station Server" wird vorliegend ein Server verstanden, der zentral Daten eines Bedien- und Beobachtungssystems sowie in der Regel Alarm- und Messwertarchive eines Leitsystems einer technischen Anlage erfasst und Benutzern zur Verfügung stellt. Der Operator Station Server stellt in der Regel eine Kommunikationsverbindung zu Automatisierungssystemen der technischen Anlage her und gibt Daten der technischen Anlage an sogenannte Clients weiter, die zur Bedienung und Beobachtung eines Betriebs der einzelnen Funktionselemente der technischen Anlage dienen. Der Operator Station Server kann über Client-Funktionen verfügen, um auf die Daten (Archive, Meldungen, Tags, Variablen) anderer Operator Station Server zuzugreifen.
  • Dadurch sind Bilder eines Betriebs der technischen Anlage auf dem Operator Station Server mit Variablen anderer Operator Station Server (Server-Server-Kommunikation) kombinierbar. Bei dem Operator Station Server kann es sich, ohne sich darauf zu beschränken, um einen SIMATIC PCS 7 Industrial Workstation Server der Firma SIEMENS handeln.
  • Automatisierungsgeräte werden zur Realisierung einer Automatisierung benutzt und können beispielsweise speicherprogrammierbare Steuerungen sein, die eine übergeordnete Steuerungsfunktion für untergeordnete speicherprogrammierbare Steuerungen darstellen.
  • Die Aufgabe wird zudem gelöst durch ein Verfahren zum Übermitteln eines Zertifikatsantrags von einer Anlagenkomponente einer Prozessanlage, die einen computerimplementierten Registrierungsdienst aufweist, an eine Registrierungsstelle oder eine Zertifizierungsstelle der Prozessanlage, das Verfahren umfassend:
    • Entgegennehmen eines Zertifikatsantrags von einer Anlagenkomponente der Prozessanlage durch den Registrierungsdienst, wobei der Zertifikatsantrag eine Information bezüglich einer Identität der Anlagenkomponente umfasst,
    • Entnehmen einer Information aus einem ersten Speicher durch den Registrierungsdienst, darüber, welche Zertifikate der Anlagenkomponente zuweisbar und zuzuweisen sind,
    • Anhand der Verknüpfung der Information bezüglich der Identität der Anlagenkomponente und der aus dem Speicher entnommenen Information über die bereits zugewiesenen, zuweisbaren und zuzuweisenden Zertifikate Bestimmen durch den Registrierungsdienst, welchen Typ der Zertifikatsantrag aufweist und welche Registrierungsstelle oder welche Zertifizierungsstelle der Prozessanlage für den Zertifikatsantrag zuständig ist,
    • Übermitteln des Zertifikatsantrags der Anlagenkomponente zusammen mit einer Information über den Typ des Zertifikatsantrags an die zuständige Registrierungsstelle oder die zuständige Zertifizierungsstelle durch den Registrierungsdienst.
  • Die Aufgabe wird zudem gelöst durch die Verwendung eines Leitsystems wie zuvor erläutert zum Betrieb einer Prozessanlage, insbesondere einer Fertigungs- oder Prozessanlage.
  • Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise, wie diese erreicht werden, werden klarer und deutlicher verständlich im Zusammenhang mit der folgenden Beschreibung des Ausführungsbeispiels, das im Zusammenhang mit der Zeichnung näher erläutert wird.
  • In der Figur ist ein erfindungsgemäßes Verfahren schematisch dargestellt. Eine Anlagenkomponente 1 stellt in einem ersten Schritt (I) einen Zertifikatsantrag 2 in dem PKCS#10 Format. Ein Registrierungsdienst 3 eines Leitsystems einer technischen Anlage empfängt den Zertifikatsantrag 2 der Anlagenkomponente 1. Der Registrierungsdienst 3 weist auf Zertifikaten basierende Vertrauensbeziehungen zu einer Registrierungsstelle 4 und zu zwei Zertifizierungsstellen 5a, 5b der technischen Anlage auf.
  • Der Registrierungsdienst 3 entnimmt dem Zertifikatsantrag 2 eine Information über eine Identität der Anlagenkomponente 1. Daraufhin greift der Registrierungsdienst 3 auf einen in der technischen Anlage implementierten Konfigurationsspeicher 6 zu, um Informationen darüber zu entnehmen, welche Zertifikate der Anlagenkomponente 1 bereits zugewiesen, zuweisbar und zuzuweisen sind. Zusätzlich ruft der Registrierungsdient 3 Information aus dem Konfigurationsspeicher 6 ab, welche Registrierungsstelle 4 oder welche Zertifizierungsstelle 5a, 5b der technischen Anlage für den Zertifikatsantrag 2 zuständig ist. Der Konfigurationsspeicher 6 ist dabei auf einem Engineering Station Server des Leitsystems implementiert. Die verschiedenen Zertifizierungsstellen 5a, 5b können jeweils für verschiedene Typen von Zertifikaten zuständig sein.
  • Der Registrierungsdienst 3 verwendet nun die aus dem Konfigurationsspeicher 6 abgerufenen Informationen dazu, den Zertifikatsantrag 2 von dem rudimentären PKCS#10 Format in ein umfassenderes Format zu transformieren (beispielsweise das CMP-Protokoll), welches einen Typ des Zertifikatsantrags 2 umfasst (Schritt II). Die Kriterien für die Transformation des Zertifikatsantrags können dabei fest von einem Administrator der technischen Anlage oder dergleichen oder adaptiv von einem selbstlernenden System vorgegeben werden.
  • In einem nachfolgenden Schritt (III) wird der umfassendere Zertifikatsantrag 2 an die Registrierungsstelle 5 weitergeleitet, welche in einem weiteren Schritt (IV) den Zertifikatsantrag 2 an die in diesem Fall zuständige Zertifizierungsstelle 5a weiterleitet.
  • Nach der Prüfung des Zertifikatsantrags 2 und der Ausstellung des beantragten Zertifikats wird in darauffolgenden Schritten (V, VI, VII) das ausgestellte Zertifikat an die beantragende Anlagenkomponente 1 weitergereicht.
  • Dadurch, dass eine Mitwirkung des Benutzers bei der Konvertierung der Zertifikatsanträge durch die zuvor erläuterten technischen Merkmale wegfällt, entfallen auch die damit verbundenen, im einleitenden Teil beschriebenen Risiken. Dadurch kann die Erfindung zu einer verbesserten Automatisierung des Zertifikatsmanagements einer technischen Anlage, zu einem unterbrechungsfreien Normalbetrieb sowie zu einer verbesserten Verfügbarkeit von heterogenen technischen Anlagen beigetragen.
  • Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.

Claims (17)

  1. Leitsystem für eine Prozessanlage, wobei die Prozessanlage eine chemische, pharmazeutische oder petrochemische Anlage, oder eine Anlage aus der Nahrungs- und Genussmittelindustrie darstellt, wobei das Leitsystem Funktionalitäten zum Darstellen, Bedienen und Leiten der Prozessanlage umfasst, und wobei das Leitsystem einen computerimplementierten Registrierungsdienst (3) aufweist, wobei der Registrierungsdienst (3) dazu ausgebildet ist:
    - von einer Anlagenkomponente (1) der Prozessanlage einen Zertifikatsantrag (2) entgegenzunehmen, der eine Information bezüglich einer Identität der Anlagenkomponente (1) umfasst,
    - einem Speicher (6) eine Information darüber zu entnehmen, welche Zertifikate der Anlagenkomponente (1) bereits zugewiesen, zuweisbar und zuzuweisen sind,
    - anhand einer Verknüpfung der Information bezüglich der Identität der Anlagenkomponente (1) und der aus dem Speicher (6) entnommenen Information über die zuweisbaren und zuzuweisenden Zertifikate zu bestimmen, welchen Typ der Zertifikatsantrag (2) aufweist, wobei der Typ einen initialen Zertifikatsantrag oder einen Antrag auf eine Zertifikatserneuerung darstellt, und welche Registrierungsstelle (4) oder welche Zertifizierungsstelle (5a, 5b) der Prozessanlage für den Zertifikatsantrag (2) zuständig ist,
    - den Zertifikatsantrag (2) der Anlagenkomponente (1) mit einer Information über den Typ des Zertifikatsantrags (2) an die zuständige Registrierungsstelle (4) oder die zuständige Zertifizierungsstelle (5a, 5b) zu übermitteln.
  2. Leitsystem nach Anspruch 1, bei dem der Registrierungsdienst (3) auf einer Komponente einer Public Key Infrastruktur der technischen Anlage computerimplementiert ist.
  3. Leitsystem nach Anspruch 1 oder 2, bei dem der Registrierungsdienst (3) auf einem Endgerät der Prozessanlage computerimplementiert sind.
  4. Leitsystem nach einem der vorangegangenen Ansprüche, bei dem der Registrierungsdienst (3) Vertrauensbeziehungen zu der Anlagenkomponente, und zu der Registrierungsstelle (4) und/oder der Zertifizierungsstelle (5a, 5b) der Prozessanlage aufweist, wobei die Vertrauensbeziehungen zertifikatsbasiert ausgebildet sind.
  5. Leitsystem nach einem der vorangegangenen Ansprüche, bei dem der Registrierungsdienst (3) dazu ausgebildet ist, dem ersten Speicher (6) oder einem zweiten Speicher die Information zu entnehmen, welche Registrierungsstelle (4) oder welche Zertifizierungsstelle (5a, 5b) der Prozessanlage für den Zertifikatsantrag (2) zuständig ist.
  6. Leitsystem nach Anspruch 5, bei dem der erste Speicher (6) oder der zweite Speicher auf einer Komponente einer Public Key Infrastruktur implementiert sind.
  7. Leitsystem nach Anspruch 5, bei dem der erste Speicher (6) oder der zweite Speicher auf einem Engineering Station Server oder auf einem Operator Station Server des Leitsystems implementiert sind.
  8. Leitsystem nach Anspruch 5, bei dem der erste Speicher oder der zweite Speicher auf einem Endgerät der Prozessanlage implementiert sind.
  9. Verfahren zum Übermitteln eines Zertifikatsantrags von einer Anlagenkomponente (1) einer Prozessanlage, die einen computerimplementierten Registrierungsdienst (3) aufweist, an eine Registrierungsstelle (4) oder eine Zertifizierungs stelle (5a, 5b) der Prozessanlage, das Verfahren umfassend:
    - Entgegennehmen eines Zertifikatsantrags (2) von einer Anlagenkomponente (1) der Prozessanlage durch den Registrierungsdienst (3), wobei der Zertifikatsantrag (2) eine Information bezüglich einer Identität der Anlagenkomponente (1) umfasst,
    - Entnehmen einer Information aus einem Speicher (6) durch den Registrierungsdienst (3), darüber, welche Zertifikate der Anlagenkomponente (1) bereits zugewiesen, zuweisbar und zuzuweisen sind,
    - Anhand einer Verknüpfung der Information bezüglich der Identität der Anlagenkomponente (1) und der aus dem Speicher (6) entnommenen Information über die bereits zugewiesenen, zuweisbaren und zuzuweisenden Zertifikate Bestimmen durch den Registrierungsdienst (3), welchen Typ der Zertifikatsantrag (2) aufweist, wobei der Typ einen initialen Zertifikatsantrag oder einen Antrag auf eine Zertifikatserneuerung darstellt, und welche Registrierungsstelle (4) oder welche Zertifizierungsstelle (5a, 5b) der Prozessanlage für den Zertifikatsantrag (2) zuständig ist,
    - Übermitteln des Zertifikatsantrags (2) der Anlagenkomponente (1) zusammen mit einer Information über den Typ des Zertifikatsantrags (2) an die zuständige Registrierungsstelle (4) oder die zuständige Zertifizierungsstelle (5a, 5b) durch den Registrierungsdienst (3).
  10. Verfahren nach Anspruch 9, bei dem der Registrierungsdienst (3) auf einer Komponente einer Public Key Infrastruktur der Prozessanlage computerimplementiert ist.
  11. Verfahren nach Anspruch 9 oder 10, bei dem der Registrierungsdienst (3) auf einem Endgerät der Prozessanlage computerimplementiert ist.
  12. Verfahren nach einem der Ansprüche 9 bis 11, bei dem der Registrierungsdienst (3) Vertrauensbeziehungen zu der Anlagenkomponente (1) und zu der Registrierungsstelle (4) und/oder der Zertifizierungsstelle (5a, 5b) der Prozessanlage aufweist, wobei die Vertrauensbeziehungen zertifikatsbasiert ausgebildet sind.
  13. Verfahren nach einem der Ansprüche 9 bis 12, bei dem der Registrierungsdienst (3) dem ersten Speicher (6) oder einem zweiten Speicher die Information entnimmt, welche Registrierungsstelle (4) oder welche Zertifizierungsstelle (5a, 5b) der Prozessanlage für den Zertifikatsantrag (2) zuständig ist.
  14. Verfahren nach einem der Ansprüche 9 bis 13, bei dem der erste Speicher (6) oder der zweite Speicher auf einer Komponente einer Public Key Infrastruktur implementiert sind.
  15. Verfahren nach einem der Ansprüche 9 bis 13, bei dem der erste Speicher oder der zweite Speicher auf einem Engineering Station Server oder auf einem Operator Station Server des Leitsystems implementiert sind.
  16. Verfahren nach einem der Ansprüche 9 bis 13, bei dem der erste Speicher oder der zweite Speicher auf einem Endgerät der Prozessanlage implementiert sind.
  17. Verwendung eines Leitsystems nach einem der Ansprüche 1 bis 8 zum Betrieb einer Prozessanlage.
EP22743454.5A 2021-06-29 2022-06-28 Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente Active EP4331174B1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP21182334.9A EP4113928A1 (de) 2021-06-29 2021-06-29 Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente
PCT/EP2022/067750 WO2023275058A1 (de) 2021-06-29 2022-06-28 Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente

Publications (3)

Publication Number Publication Date
EP4331174A1 EP4331174A1 (de) 2024-03-06
EP4331174B1 true EP4331174B1 (de) 2025-04-02
EP4331174C0 EP4331174C0 (de) 2025-04-02

Family

ID=76708029

Family Applications (2)

Application Number Title Priority Date Filing Date
EP21182334.9A Withdrawn EP4113928A1 (de) 2021-06-29 2021-06-29 Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente
EP22743454.5A Active EP4331174B1 (de) 2021-06-29 2022-06-28 Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente

Family Applications Before (1)

Application Number Title Priority Date Filing Date
EP21182334.9A Withdrawn EP4113928A1 (de) 2021-06-29 2021-06-29 Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente

Country Status (7)

Country Link
US (1) US20240323001A1 (de)
EP (2) EP4113928A1 (de)
JP (1) JP7753406B2 (de)
KR (1) KR102871432B1 (de)
CN (1) CN117581506A (de)
BR (1) BR112023026539A2 (de)
WO (1) WO2023275058A1 (de)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4432602A1 (de) * 2023-03-13 2024-09-18 Siemens Aktiengesellschaft Verfahren zur ausstellung eines zertifikats und computerimplementierte registrierungsstelle

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5745574A (en) 1995-12-15 1998-04-28 Entegrity Solutions Corporation Security infrastructure for electronic transactions
JPH10105612A (ja) * 1996-10-01 1998-04-24 Fujitsu Ltd 認証システム
US20050081026A1 (en) * 2003-08-15 2005-04-14 Imcentric, Inc. Software product for installing SSL certificates to SSL-enablable devices
JP2006270646A (ja) 2005-03-24 2006-10-05 Fuji Xerox Co Ltd 電子証明書管理装置
JP4849962B2 (ja) 2006-06-06 2012-01-11 株式会社リコー 画像処理装置、認証サーバ選択方法及びプログラム
US8327424B2 (en) * 2009-12-22 2012-12-04 Motorola Solutions, Inc. Method and apparatus for selecting a certificate authority
US9225525B2 (en) * 2010-02-26 2015-12-29 Red Hat, Inc. Identity management certificate operations
US8898457B2 (en) * 2010-02-26 2014-11-25 Red Hat, Inc. Automatically generating a certificate operation request
EP3258662B1 (de) 2016-06-16 2019-10-30 ABB Schweiz AG Sichere effiziente registrierung von industriellen intelligenten elektronischen vorrichtungen
US10581620B2 (en) * 2016-11-14 2020-03-03 Integrity Security Services Llc Scalable certificate management system architectures
US10749692B2 (en) * 2017-05-05 2020-08-18 Honeywell International Inc. Automated certificate enrollment for devices in industrial control systems or other systems
US10476679B2 (en) * 2017-11-14 2019-11-12 INTEGRITY Security Services, Inc. Systems, methods, and devices for multi-stage provisioning and multi-tenant operation for a security credential management system
EP3605253B1 (de) 2018-08-02 2023-05-10 Siemens Aktiengesellschaft Automatisierte public key infrastructure initialisierung
EP3624413A1 (de) 2018-09-13 2020-03-18 Siemens Aktiengesellschaft Automatisiertes zertifikatsmanagement für automatisierungsanlagen
EP3734478A1 (de) * 2019-04-29 2020-11-04 Siemens Aktiengesellschaft Verfahren zur vergabe von zertifikaten, leitsystem, verwendung eines solchen, technische anlage, anlagenkomponente und verwendung eines identitätsproviders
CN111917685B (zh) * 2019-05-07 2022-05-31 华为云计算技术有限公司 一种申请数字证书的方法

Also Published As

Publication number Publication date
JP7753406B2 (ja) 2025-10-14
KR102871432B1 (ko) 2025-10-14
KR20240024265A (ko) 2024-02-23
US20240323001A1 (en) 2024-09-26
CN117581506A (zh) 2024-02-20
EP4331174A1 (de) 2024-03-06
WO2023275058A1 (de) 2023-01-05
BR112023026539A2 (pt) 2024-03-05
EP4331174C0 (de) 2025-04-02
JP2024524453A (ja) 2024-07-05
EP4113928A1 (de) 2023-01-04

Similar Documents

Publication Publication Date Title
EP3985532B1 (de) Zertifikatsmanagement für technische anlagen
EP3605253B1 (de) Automatisierte public key infrastructure initialisierung
EP3562089B1 (de) Automatisiertes zertifikatsmanagement
EP3681102B1 (de) Verfahren zur validierung eines digitalen nutzerzertifikats
EP3624413A1 (de) Automatisiertes zertifikatsmanagement für automatisierungsanlagen
EP3993339B1 (de) Zertifikatsmanagement in einer technischen anlage
EP3641216A1 (de) Verfahren zum sicheren betreiben eines industriellen automatisierungsgeräts in einem automatisierungssystem und ein automatisierungsgerät, ein inbetriebnahmegerät sowie eine registrierungsstelle
EP3851924A1 (de) Leitsystem für technische anlagen mit zertifikatsmanagement
EP3762845B1 (de) Projektbezogenes zertifikatsmanagement
EP4578140B1 (de) Sicheres technisches modul
EP4331174B1 (de) Leitsystem für eine technische anlage und verfahren zum übermitteln eines zertifikatsantrags einer anlagenkomponente
WO2020221523A1 (de) Verfahren zur vergabe von zertifikaten, leitsystem, verwendung eines solchen, technische anlage, anlagenkomponente und verwendung eines identitätsproviders
EP3851923B1 (de) Leitsystem für technische anlagen mit zertifikatsmanagement
EP4174691B1 (de) Leitsystem für eine technische anlage und verfahren zum entfernen eines oder mehrerer zertifikate
EP4376354A1 (de) Sicheres technisches modul
EP4432602A1 (de) Verfahren zur ausstellung eines zertifikats und computerimplementierte registrierungsstelle
EP4333363A1 (de) Verfahren zur ausstellung eines zertifikats und computerimplementierte registrierungsstelle
EP4044551A1 (de) Überwachung einer vertrauenswürdigkeit einer registrierungsstelle
EP3796107A1 (de) Leitsystem und verfahren zum zertifikatsmanagement
EP4601245A1 (de) Zertifikatsmanagement in einer technischen anlage
EP4243343A1 (de) Verfahren zur ausstellung eines zertifikats und computerimplementierte registrierungsstelle
EP3944108A1 (de) Revokation von zertifikaten in einer technischen anlage
EP2159656B1 (de) Verfahren zur gesicherten Übermittlung von Daten in einem mehrere Netzknoten umfassenden Automatisierungssystem, Computerprogram und Automatisierungssystem
EP4187413A1 (de) Leitsystem für eine verfahrenstechnische anlage und verfahren zum erstellen einer automatisierung für komponenten einer verfahrenstechnischen anlage
WO2022069247A1 (de) Gerät und verfahren zur einrichtung einer dienstbezogenen authentisierung

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20231129

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTG Intention to grant announced

Effective date: 20241118

RIC1 Information provided on ipc code assigned before grant

Ipc: H04L 67/12 20220101ALI20241108BHEP

Ipc: H04L 9/40 20220101ALI20241108BHEP

Ipc: H04L 9/32 20060101ALI20241108BHEP

Ipc: H04L 9/08 20060101AFI20241108BHEP

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

U01 Request for unitary effect filed

Effective date: 20250408

U07 Unitary effect registered

Designated state(s): AT BE BG DE DK EE FI FR IT LT LU LV MT NL PT RO SE SI

Effective date: 20250414

U20 Renewal fee for the european patent with unitary effect paid

Year of fee payment: 4

Effective date: 20250620

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250703

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250702

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250702

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250802

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SM

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

REG Reference to a national code

Ref country code: CH

Ref legal event code: H13

Free format text: ST27 STATUS EVENT CODE: U-0-0-H10-H13 (AS PROVIDED BY THE NATIONAL OFFICE)

Effective date: 20260127

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MC

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20250402

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

REG Reference to a national code

Ref country code: CH

Ref legal event code: L10

Free format text: ST27 STATUS EVENT CODE: U-0-0-L10-L00 (AS PROVIDED BY THE NATIONAL OFFICE)

Effective date: 20260211

26N No opposition filed

Effective date: 20260105

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20250628

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20250630